Die Schlagzeile: Sieben Tage nach dem v0.1-Start ist DeepSeek Harness bereits beim zweiten Release-Kandidaten. rc.8, in den frühen Morgenstunden des 20. August ausgerollt, bringt der Ausführungsebene drei Upgrades, die mehr bedeuten, als ihre Changelog-Einträge vermuten lassen: native Bildeingabe (damit das Framework die Welt wahrnehmen kann, statt nur Text zu lesen), installierbare Sub-Agenten – Claude Code und Codex können jetzt innerhalb von Harness als untergeordnete Agenten laufen – und, am wichtigsten, ein nicht-interaktiver Berechtigungsmodus für Codex, der Aufgaben ohne menschliche Bestätigung pro Schritt ausführen lässt. In einem Framework, in dem sich der Agent selbst umbauen kann, macht so schnell wachsende Autonomie die Frage der Berechtigungsgrenze von abstrakt zu dringend. Review muss dort leben, wo ein sich selbst erweiternder Agent es nicht erreichen kann.
Zwei Release-Kandidaten in sieben Tagen
DeepSeek hat Harness v0.1 am 13. August ausgeliefert. rc.7 kam am 17. August mit Plugin-Selbstregistrierung und einem besseren Cordis-Plugin-Panel. rc.8 landete in den frühen Morgenstunden des 20. August – zwei Tage nach rc.7. Dieses Tempo ist die Geschichte hinter der Geschichte: ein Preview-Produkt, das hart vorangetrieben wird, und dessen Entwickler-Ökosystem ausdrücklich davor gewarnt wird, Breaking Changes zu erwarten (das schnellere SQLite-Backend von rc.8 ist etwa nicht abwärtskompatibel mit älteren Sitzungsdaten).
Was rc.8 tatsächlich ändert
Multimodale Eingabe. Der DeepSeek-Modelladapter kann nun native Bildanfragen aktivieren. Die Befehle /goal und /plan akzeptieren gemischte Text-und-Bild-Eingaben, und das @-Menü kann Dateien und vergangene Sitzungen referenzieren. Das ist wichtig, weil DeepSeeks eigene V4-Modelle nur Text verarbeiten – ihre API lehnt Bilddaten ab. rc.8 verleiht dem Harness damit praktisch Augen: Die Ausführungsebene kann nun Screenshots, Diagramme und Kontext aus der realen Welt wahrnehmen, selbst wenn das Modell, das sie antreibt, es nicht kann. Das erweitert Harness von reiner Textprogrammierung auf Aufgaben, die die physische Welt berühren.
Konkurrenz-Agenten werden Untergebene. Claude Code und Codex können jetzt über Profil-Bundles als Sub-Agenten installiert werden. Wenn ein Sub-Agent fertig ist, gibt reportDelivery seine Ergebnisse an die übergeordnete Aufgabe zurück, und der übergeordnete Agent setzt fort. Codex erhält mehrere benannte Instanzen für parallele Arbeit. Die Bedeutung liegt auf Ökosystem-Ebene: Die beiden prominentesten Closed-Agent-Produkte des Marktes sind jetzt steckbare Komponenten in einem offenen, MIT-lizenzierten Orchestrator. Die Ausführungsebene wird kommoditisiert, und die These „Alles ist ein Plugin“ erstreckt sich nun auf ganze konkurrierende Agentenprodukte.
Nicht-interaktiver Berechtigungsmodus. Der Sub-Agent-Modus von Codex ergänzt einen nicht-interaktiven Berechtigungsmodus, der ohne menschliche Bestätigung pro Schritt läuft. Er existiert, um lange, parallele Agentenläufe praktikabel zu machen – aber er vervollständigt auch eine Entwicklung, die diese Website den ganzen Monat verfolgt hat. Zuerst waren es Agenten, die ohne zu fragen handelten (AISI). Dann ein Harness, der sich selbst umbauen konnte (v0.1). Jetzt ist es ein expliziter Modus, der die menschliche Bestätigung aus dem Hot Path entfernt. Jeder Schritt macht dasselbe noch notwendiger: die Berechtigungsgrenze muss von Infrastruktur durchgesetzt werden, die der Agent nicht verändern kann, denn der Mensch ist nicht mehr in der Schleife, um Nein zu sagen.
Warum das die Grenzfrage verschärft
Keine dieser Funktionen ist für sich genommen leichtsinnig. Multimodale Eingabe erweitert, was ein Agent sehen kann; Sub-Agenten erweitern, was er orchestrieren kann; der nicht-interaktive Modus erweitert, wie viel er unbeaufsichtigt tun kann. Doch sie wirken in eine Richtung: Der Agent wird zugleich fähiger, modularer und weniger überwacht. Ein Harness, das Claude Code und Codex als Sub-Agenten halten kann – beide lassen sich vom Orchestrator anweisen – und sie ohne interaktive Freigabe ausführt, ist ein System, in dem ein einziger kompromittierter Prompt zwei verschiedene Frontier-Agenten zum Handeln bringen kann. Die Beobachtbarkeit der vollständigen Laufbahn, die Harness aufzeichnet (System-Prompts, Chain-of-Thought, Tool-Aufrufe, Sub-Agent-Dispatch), ist die richtige Grundlage, um zu auditieren, was geschehen ist. Sie ist kein Ersatz dafür, zu begrenzen, was geschehen kann. Ein lesbares Log ist Rückschau; eine Grenze ist Voraussicht.
Die Designlogik zeigt in dieselbe Richtung wie schon in v0.1, nur lauter: verwaltete, begrenzte Umgebungen mit Out-of-Band-Review-Gates und signierten Diffs sind kein Kompromiss für Teams, die Geschwindigkeit wollen. Sie sind der einzige Ort, an dem ein nicht-interaktiver, selbstmodifizierbarer Agent sicher laufen kann. Wenn der Mensch per Design aus dem Freigabepfad entfernt wird, muss die Durchsetzung vollständig in der Umgebung leben – in einer Sandbox, aus der der Agent nicht entkommen kann, mit Diffs, die er nicht selbst signieren kann, und einer Review-Warteschlange, die er nicht erreichen kann.
Was das für Teams bedeutet
- Bewerten Sie das Framework, nicht die Schlagworte. Der Schnittstellen-Umbau in der Preview-Phase ist real: Der SQLite-Speicher ist zwischen rc-Versionen inkompatibel, und Drittanbieter-Plugins hinken dem Kern hinterher. Messen Sie mit Benchmarks auf Ihrer eigenen Workload, mit Ihren eigenen Prompt-Injection-Tests, bevor Sie den Autonomie-Funktionen vertrauen.
- Behandeln Sie nicht-interaktive Modi als Architekturentscheidung, nicht als Komfortfunktion. In dem Moment, in dem die Bestätigung pro Schritt abgeschaltet wird, muss Ihr Review-Prozess bereits in die Plattform verlagert worden sein. Wenn nicht, haben Sie gerade einen selbstmodifizierenden Agenten ohne Durchsetzungsebene ausgeliefert.
- Das Sub-Agent-Muster ist eine neue Angriffsfläche. Jeder Anweisungskanal vom Orchestrator zum Sub-Agenten ist ein potenzieller Injektionspfad – einschließlich des Prompts des übergeordneten Agenten. Testen Sie diese Grenze explizit, so wie Sie eine benutzergelieferte Zeichenkette testen würden.
- Multi-Modell-Orchestrierung ist jetzt Pflicht. Open-Source-Harnesses können geschlossene Frontier-Agenten antreiben und umgekehrt. Wählen Sie Ihre Plattform für die Grenzen, die sie durchsetzt, nicht für das Modell, das heute darin steckt.
Das Fazit
Harness rc.8 ist ein schnelles, kompetentes Update: Sinne für einen textbasierten Modell-Stack, erstklassige Sub-Agent-Orchestrierung und bessere Windows-Ergonomie. Aber seine eigentliche Bedeutung ist richtungsweisend. Multimodale Wahrnehmung, Konkurrenz-Agenten als Untergebene und ein nicht-interaktiver Berechtigungsmodus drängen alle in dieselbe Richtung – Agenten, die mehr sehen, mehr orchestrieren und länger laufen können, ohne zu fragen. Genau das ist die Entwicklung, die Berechtigungsgrenzen auf Plattformebene unverhandelbar macht. DeepSeek baut die Ausführungsebene schnell und in der Öffentlichkeit. Die Teams, die damit gewinnen, sind die, die die Grenze im gleichen Tempo gebaut haben – denn der Agent wird schon nächste Woche deutlich mehr können.